- 攻撃者はAhsayCBSバックアップソフトウェアの重大な脆弱性を悪用し、組織のバックアップサーバーを侵害
- 侵入後はWebシェルと偽装したXMRig暗号資産マイナーを設置し、永続化とステルス性を確保
- 研究者は直ちにパッチを適用し、アクセスを制限するよう呼びかけ。侵害された場合はシステム全体の再イメージングが必要
企業がサイバー攻撃に備えて用意するバックアップサーバーを標的にした、きわめて大胆な攻撃が確認されました。
この攻撃で悪用された脆弱性は、すでに修正されています。しかし攻撃は現在も続いているため、このバックアップ製品を利用している組織は、直ちに修正を適用し、自社環境の防御を固めるよう求められています。
バックアップユーティリティ「AhsayCBS」
今回のインシデントの中心にあるのは、Ahsay Cloud Backup Suite（AhsayCBS）というバックアップユーティリティです。香港に拠点を置く同名の企業が開発した、サーバーベースのバックアップ管理プラットフォームです。
企業やマネージドサービスプロバイダー（MSP）、IT管理者は、仮想・物理サーバー、データベース、さまざまなソフトウェア環境にまたがる自社や顧客のデバイスのバックアップ管理にこのツールを使用しています。ITサービス事業者が顧客データを管理する目的でも広く利用されています。
セキュリティ研究者のHuntressによると、2026年10月4日にAhsayCBSの2件の脆弱性（CVE-2026-105113とCVE-2026-105134）が公開されました。前者はcheckSysPwd関数に影響する深刻度「中」の脆弱性で、不適切な認証につながる可能性があります。後者はReplication Receiverコンポーネントに影響する深刻度「重大」の脆弱性で、認証なしでホスト上のNT AUTHORITY/SYSTEM権限によるリモートコード実行を許す恐れがあります。
研究者らは次のように説明しています。「このAPIには認証バイパスの欠陥があり、ランダムなトークンを有効な認証情報の代わりに使えてしまう可能性があります。攻撃者は悪用後、不正なレシーバーを設定し、CBSアプリケーションが提供するアプリケーションディレクトリにJava Server Page（JSP）のWebシェルを設置しました」
わずか3日後には、攻撃者がこれらの脆弱性の悪用を開始しました。1件目で認証を回避し、2件目でコード実行を達成して、公開状態のシステムにWebシェルを展開していました。このWebシェルは主にドロッパーとして機能し、第2段階のさまざまな実行ファイルを投下していました。
暗号資産のマイニング
Huntressは、攻撃者が広く知られる暗号資産マイナー「XMRig」を展開していたことも確認しました。XMRigは正規のオープンソースのマイニングソフトウェアです。感染したコンピューターのハードウェア、電力、インターネット回線を使ってMonero（モネロ）をマイニングし、攻撃者のウォレットに送金します。
Moneroは、プライバシーを最優先に設計され、ブロックチェーン上での追跡が非常に難しいため、不正なマイニングで最もよく選ばれる通貨です。
攻撃者は、これらのバックアップサーバー上でXMRigを隠すために手を尽くしていました。マイナーをMicrosoft Edgeのプロセスに見せかけ、偽のEdge更新サービスとしてインストールしていたのです。さらに、誰かが確認しようとすると姿を隠す仕組みも用意していました。
AIが書いたとみられるスクリプトは、タスクマネージャーが開かれるたびにマイナーを停止します。同じスクリプトは、1時間後にタスクマネージャーを閉じる動作もしていました。
バックアップは、ランサムウェア攻撃に対する最も強力な防御策の一つと見なされています。ほぼすべてのサイバーセキュリティ組織やオピニオンリーダーが、バックアップを導入し、古くなったり破損したりしていないか、頻繁に維持・管理するよう組織に助言しています。そのバックアップが比較的容易に侵害され得るという事実は、警戒すべきことです。被害を受けた企業は、感染がXMRigにとどまり、本格的なランサムウェアによる暗号化被害に至らなかったことを幸運と考えるべきかもしれません。
とはいえ、Huntressによると、10月8日時点ですでに少なくとも5つの組織が標的になっていました。したがって、AhsayCBSを利用するすべての組織は、提供されているパッチをできるだけ早く適用することが不可欠です。10.3.4までのこのユーティリティのすべてのバージョンが影響を受けるとされています。
修正の適用に加え、AhsayCBSの管理インターフェースへのWebアクセスも制限すべきです。このエクスプロイトは、ホスト上で外部からアクセス可能なWebアプリケーションサービスを標的にしているためです。Huntressは次のように述べています。「アクセスは信頼できるIPアドレスのみに限定するか、VPNを必須にしてください。このブログに記載されたIoC（侵害指標）が一つでも見つかった場合は、信頼できるバックアップからホスト全体を再イメージングしてください。攻撃者は、長期的な永続化のために二次的なバックドアを隠していた可能性があるためです」
